RBAC（Role-Based Access Control）

http://hi.baidu.com/akini/blog/item/eddbd61b90f6d4fbae513371.html

RBAC

求助編輯百科名片

基 於角色的訪問控制（Role-Based Access Control）做爲傳統訪問控制（自主訪問，強制訪問）的有前景的代替受到普遍的關注。在RBAC中，權限與角色相關聯，用戶經過成爲適當角色的成員而 獲得這些角色的權限。這就極大地簡化了權限的管理。在一個組織中，角色是爲了完成各類工做而創造，用戶則依據它的責任和資格來被指派相應的角色，用戶能夠 很容易地從一個角色被指派到另外一個角色。角色可依新的需求和系統的合併而賦予新的權限，而權限也可根據須要而從某角色中回收。角色與角色的關係能夠創建起 來以囊括更普遍的客觀狀況。

目錄

簡介

RBAC基本概念

RBAC96模型

ARBAC97模型

DRBAC

展開

編輯本段簡介

　 　RBAC支持三個著名的安全原則：最小權限原則，責任分離原則和數據抽象原則。最小權限原則之因此被RBAC所支持，是由於RBAC能夠將其角色配置成 其完成任務所須要的最小的權限集。責任分離原則能夠經過調用相互獨立互斥的角色來共同完成敏感的任務而體現，好比要求一個計賬員和財務管理員共參與同一過賬。數據抽象能夠經過權限的抽象來體現，如財務操做用借款、存款等抽象權限，而不用操做系統提 供的典型的讀、寫、執行權限。然而這些原則必須經過RBAC各部件的詳細配置才能得以體現。　　RBAC有許多部件，這使得RBAC的管理多面化。尤爲 是，咱們要分割這些問題來討論：用戶與角色的指派；角色與權限的指派；爲定義角色的繼承進行的角色與角色的指派。這些活動都要求把用戶和權限聯繫起來。然 而在不少狀況下它們最好由不一樣的管理員或管理角色來作。對角色指派權限是典型的應用管理者的職責。銀行應用中，把借款、存款操做權限指派給出納角色，把批 準貸款操做權限指派給經理角色。而將具體人員指派給相應的出納角色和管理者角色是人事管理的範疇。角色與角色的指派包含用戶與角色的指派、角色與權限的指 派的一些特色。更通常來講，角色與角色的關係體現了更普遍的策略。

編輯本段RBAC基本概念

　　RBAC認爲權限受權其實是Who、What、How的問題。在RBAC模型中，who、what、how構成了訪問權限三 元組,也就是「Who對What(Which)進行How的操做」。　　Who：權限的擁用者或主體（如Principal、User、Group、 Role、Actor等等）　　What：權限針對的對象或資源（Resource、Class）。　　How：具體的權限（Privilege,正向授 權與負向受權）。　　Operator：操做。代表對What的How操做。也就是Privilege+Resource　　Role：角色，必定數量的 權限的集合。權限分配的單位與載體,目的是隔離User與Privilege的邏輯關係.　　Group：用戶組，權限分配的單位與載體。權限不考慮分配 給特定的用戶而給組。組能夠包括組(以實現權限的繼承)，也能夠包含用戶，組內用戶繼承組的權限。User與Group是多對多的關係。Group能夠層 次化，以知足不一樣層級權限控制的要求。　　RBAC的關注點在於Role和User, Permission的關係。稱爲User assignment(UA)和Permission assignment(PA).關係的左右兩邊都是Many-to-Many關係。就是user能夠有多個role，role能夠包括多個user。　　 凡是用過RDBMS都知道，n:m 的關係須要一箇中間表來保存兩個表的關係。這UA和PA就至關於中間表。事實上，整個RBAC都是基於關係模型。　　Session在RBAC中是比較隱 晦的一個元素。標準上說：每一個Session是一個映射，一個用戶到多個role的映射。當一個用戶激活他全部角色的一個子集的時候，創建一個 session。每一個Session和單個的user關聯，而且每一個User能夠關聯到一或多個Session.　　在RBAC系統中，User其實是 在扮演角色(Role)，能夠用Actor來取代User，這個想法來自於Business Modeling With UML一書Actor-Role模式。考慮到多人能夠有相同權限，RBAC引入了Group的概念。Group一樣也看做是Actor。而User的概念 就具象到一我的。　　這裏的Group和GBAC（Group-Based Access Control）中的Group（組）不一樣。GBAC多用於操做系統中。其中的Group直接和權限相關聯，實際上RBAC也借鑑了一些GBAC的概念。 　　Group和User都和組織機構有關，但不是組織機構。兩者在概念上是不一樣的。組織機構是物理存在的公司結構的抽象模型，包括部門，人，職位等等， 而權限模型是對抽象概念描述。組織結構通常用Martin fowler的Party或責任模式來建模。　　Party模式中的Person和User的關係，是每一個Person能夠對應到一個User，但可能不 是全部的User都有對應的Person。Party中的部門Department或組織Organization，均可以對應到Group。反之 Group未必對應一個實際的機構。例如，能夠有副經理這個Group，這是多人有相同職責。　　引入Group這個概念，除了用來解決多人相同角色問題 外，還用以解決組織機構的另外一種受權問題：例如，A部門的新聞我但願全部的A部門的人都能看。有了這樣一個A部門對應的Group，就可直接受權給這個 Group。

編輯本段RBAC96模型

RBAC0

　 　1. U:表示用戶集； R：表示角色集； P：表示權限集； S：表示會話集； 　　2. PAÍP×R,是權限到角色的多對多指派； 　　3. UA Í U×R,是用戶到角色的多對多指派； 　　4. user: S→U,會話和用戶的單一映射，user(si)表示建立會話si的用戶；　　5. roles: S→2R，會話和角色子集的映射，roles(si)表示會話si對應的角色集合； 　　6. 會話si具備的權限集 P(si)。

RBAC1

　　在RBAC0的基礎上加上了角色層次，反應了多級安全需求。

RBAC2

　　在RBAC0的基礎上加上了約束集合。

RBAC3

　　RBAC1 的功能和RBAC2的功能的集合。

編輯本段ARBAC97模型

　　ARBAC97模型是基於角色的角色管理模型，包括三個部分： 　　URA97：用戶－角色管理模型　　PRA97：權限－角色管理模型 　　RRA97：角色－層次管理模型

編輯本段DRBAC

　 　DRBAC是動態結盟環境下的分佈式RBAC模型。　　DRBAC區別於之前的信任管理和RBAC方法就在於它支持3個特性：　　1.第三方指派：一個 實體若是被受權了指派分配後，就能夠指派它的名字空間之外的角色。　　2.數字屬性：經過分配處理與角色有關的數值的機制來調整訪問權限。　　3.指派監 控：用pub/sub結構對創建的信任關係進行持續監控來跟蹤可被取消的指派的狀態。　　DRBAC是由在結盟環境下對資源的訪問控制這個問題引出的。 「結盟環境」能夠是軍事上幾個國家一塊兒工做達到一個共同的目標，或者商業上幾個公司合夥。結盟環境定義的特色是存在多個組織或多個實體沒有共同的可信的授 權中心。在這種狀況下，實體在保護它們各自的資源的同時還必須協做來共享對結盟來講必要的受保護資源的部分。Internet上網絡服務的增加使這樣的需 求很廣泛。　　DRBAC結合了RBAC和信任管理系統的優勢，是既管理靈活又可分散地，可擴展的實現的系統。DRBAC表示依據角色的受控行爲，角色在 一個實體的信任域內定義而且能夠將這個角色傳遞地指派給不一樣信任域內的其餘角色。DRBAC利用PKI來鑑別全部與信任敏感操做有關的實體以及確認指派證 書。從角色到受權的名字空間的映射避免了確認額外的策略根源的須要。